【新サービス開始】中小企業向けセキュリティ診断｜サーバー・パソコンの現状確認から改善へ

こんにちは、オレンジソフトウェアの藤田です。

「セキュリティ対策は必要だと思うけれど、何から始めればよいか分からない」

「ホームページやシステムは動いているけれど、長い間点検していない」

そんな中小企業の皆さまに向けて、株式会社オレンジソフトウェアでは、中小企業向けのセキュリティ診断サービスを開始しました。

今使っているパソコンやサーバー、ネットワークに、見直すべき設定や更新の遅れがないか。まず現状を確認し、必要な対策を整理するためのサービスです。

目指しているのは、中小企業が限られた予算で、まず取り組むべき基本的な対策を進められるようにすることです。ご予算に合わせて確認する対象を絞り、リスクの大きい部分から改善を考えます。

「どこにリスクがあるのか」「何から直せばよいのか」を把握し、限られた予算の中で改善を進める。 私たちは、その第一歩をお手伝いします。

金融機関のネットワークに関わった経験から

私は以前の職場で、ネットワークエンジニアとして働いていました。銀行のネットワーク機器の設定や、データセンターでの作業など、銀行のネットワークに関わる案件を担当した経験があります。

私が関わった環境では、重要な取引を処理する「勘定系」と、一般的な事務作業に使う「OA系」を回線ごと分けるなど、通信経路の設計から厳格な対策を行っていました。こうした大規模なネットワークの構築や対策には、数千万円規模の費用がかかるケースもありました。

もちろん、銀行であってもセキュリティリスクを完全にゼロにはできません。それでも、守るべき業務の重要性に応じて、設備にも運用にも大きな費用と人手をかけています。

一方、中小企業が同じ規模の設備や運用体制を整えるのは、予算面でも人員面でも難しいことが多いと思います。

だからといって、何もできないわけではありません。 不要な通信を止める、ソフトウェアを更新する、使っていないアカウントを削除する。現在の環境を見直すことで取り組める対策もあります。

オレンジソフトウェアが中小企業向けに提供したいのは、限られた予算の中で「まず何を確認し、何から直すか」を整理し、実際の改善につなげるための支援です。 」

「普通に動いている」と「安全に運用できている」は別のこと

ホームページが表示され、メールが届き、業務システムが動いている。それだけでは、セキュリティ上の問題がないとは判断できません。

例えば、次のような状態が残っていないでしょうか。

• サーバーやパソコンのセキュリティ更新を長期間確認していない
• PHPなどの実行環境がサポート終了後も使われている
• WordPress本体やプラグインを更新していない
• NASやルーターのファームウェアを確認していない
• 不要な管理画面やサービスがインターネットに公開されている
• 退職者のアカウントや、使っていない管理者権限が残っている
• バックアップはあるものの、復元できるか確認していない

古いバージョンというだけで、直ちに侵害されているとは限りません。サポート状況や修正の適用状態、公開範囲などを合わせて確認する必要があります。

IPAの「中小企業の情報セキュリティ対策ガイドライン」でも、中小企業が段階的に対策を進めるための手順や、自社診断の方法が紹介されています。IPAのガイドライン

管理していたサーバーで、不正なマイニングツールを発見した経験

私自身、管理していたサーバーで、ソフトウェアの脆弱性を悪用され、不正なマイニングツールを設置された経験があります。

マイニングツールは、暗号資産の計算処理を行うプログラムです。無断で設置されると、本来の業務に使うはずのCPUなどの資源を攻撃者に利用されてしまいます。

当時は、監視ツールなどで稼働状況を確認していたことで不審な動作に気づき、原因の調査と対処を行いました。

この経験から、侵入を防ぐための更新や設定管理に加え、異常に気づき、調べ、対応できることも重要だと実感しました。

対策をしているから監視は不要、ということにはなりません。反対に、監視しているから更新を後回しにしてよいわけでもありません。予防と早期発見の両方を、日々の運用に組み込む必要があります。

目立った不具合がなくても、点検する意味があります

不正なプログラムが動いていても、ホームページや業務システムが普段どおり利用できる場合があります。

ただし、CPU使用率が高い、見慣れないプロセスがある、といったことだけで不正なプログラムとは断定できません。正規の処理である可能性も含め、設定やログ、通信先などを確認する必要があります。

「異常がないから大丈夫」と決めつけず、同時に、気になる動作を見つけてもすぐに攻撃と決めつけない。根拠を確認して判断することを大切にしています。

セキュリティ診断で確認すること

オレンジソフトウェアでは、パソコンの販売・保守、サーバー管理、Webシステム開発、ネットワーク構築に携わる立場から、ご利用環境に応じた確認を行います。

主な確認項目は、次のとおりです。

すべての項目を一律に実施するものではありません。 対象機器やアクセスできる範囲、ご相談内容に応じて、診断範囲と方法を事前に決めます。

確認された問題については、想定される影響と、優先して対応したい項目を整理します。更新・設定変更・移行など、改善の進め方についてもご相談いただけます。

診断の範囲と、改善作業を分けて考えます

セキュリティ診断は、合意した範囲で、その時点の状態を確認するものです。すべての脆弱性や不正プログラムを発見したり、将来の被害を防げることを保証したりするものではありません。

診断にあたっては、対象システムの管理権限や、業務への影響を確認します。外部のサービスや他社管理の環境が含まれる場合は、必要な承諾や利用条件も確認します。

また、診断と、更新・設定変更・復旧などの作業では、必要な準備や影響が異なります。実施範囲、費用、作業日程は事前にご相談のうえ決定します。

不審な動作や侵害の兆候が見つかった場合は、通常の点検とは別に、影響範囲の調査や復旧対応が必要になることがあります。

低予算で始めるために、まず必要な対策に絞る

最初からすべての機器を詳しく調べたり、高額な製品を導入したりする必要があるとは限りません。まずは、ご予算と業務への影響を伺い、インターネットに公開しているサーバーなど、優先して確認する対象を決めます。

中小企業でまず確認したい基本的な対策は、次のようなものです。

「使うと危ないソフトウェア」についても、製品名だけで決めつけず、サポート状況、既知の脆弱性、入手元、設定、業務上の必要性を確認します。

予算を抑えるために大切なのは、確認対象と対応の優先順位を絞ることです。 ただし、「この項目だけ実施すれば安全」という一律の最低ラインがあるわけではありません。扱う情報やシステムの重要性によって、必要な対策は変わります。

確認した問題を、一度にすべて解決するのが難しい場合もあります。

その場合は、インターネットからアクセスできるか、どの情報や業務に影響するか、実際の悪用が報告されているかなどを踏まえて、対応の優先順位を考えます。

例えば、不要な公開サービスを停止する、使っていないアカウントを削除する、重要な更新を適用する、といった改善から始められることもあります。一方、更新によって業務が止まるおそれがあれば、バックアップや動作確認、移行の準備が必要です。

製品の導入が有効な場面もありますが、まずは現在の設定や運用を把握し、必要な対策を選ぶことを重視しています。

「どこから確認すればよいか分からない」段階からご相談ください

「以前に構築したサーバーを、そのまま使い続けている」

「社内にIT専任の担当者がいない」

「保守を依頼しているけれど、セキュリティの点検まで含まれているか分からない」

そんな段階でも構いません。

大阪の株式会社オレンジソフトウェアでは、中小企業の皆さまから、サーバー・パソコン・ネットワークのセキュリティに関するご相談を受け付けています。

お問い合わせの際は、分かる範囲で、対象となる機器やシステム、気になっていること、現在の保守状況をお知らせください。専門用語で説明する必要はありません。

大きな予算をかける前に、まず必要な対策を整理する。限られた予算で何から始められるか、一緒に考えてみませんか。

セキュリティ診断について相談する

株式会社オレンジソフトウェア｜公式サイト